# OpenSSH 10.6 para sa mga post-quantum SSH key

Makakapagdagdag lang ang CH-J Tools ng post-quantum na uri ng key na `ssh-mldsa44-ed25519` sa isang server kung nagpapatakbo ang server na iyon ng **OpenSSH 10.6 o mas bago**. Ang OpenSSH 10.6 (6 Oktubre 2026) ang unang release na may pamantayang anyo ng ganitong uri ng key. Tinatanggihan ito ng mga mas lumang release. Ang ilan sa mga ito, gaya ng 10.2p1 sa Ubuntu 26.04, ay nakakakilala lamang ng eksperimental na baryanteng `…@openssh.com` na hindi ginagamit ng CH-J Tools.

Sa oras ng pagsulat, hindi pa nagbibigay ang Ubuntu at Debian ng 10.6 sa pamamagitan ng `apt`. Ini-install ng gabay na ito ang opisyal na **OpenSSH 10.6p2** (5 Nobyembre 2026, nag-aayos ng kahinaang nagpapahintulot sa paglampas sa pagpapatunay gamit ang password sa mga Linux build na walang PAM) kasabay ng package ng distribusyon at itinuturo rito ang serbisyong `ssh`.

Nasubukan sa malinis na Ubuntu 26.04.1 LTS: pag-install, pag-login gamit ang key na `ssh-mldsa44-ed25519`, pag-reboot at pagbabalik sa dating bersyon.

## Bago magsimula

- **Ikaw mismo ang responsable sa pagpapanatili ng build na ito.** Hindi maghahatid ng mga pag-aayos sa seguridad para rito ang `apt upgrade`. Subaybayan ang [mga tala ng release ng OpenSSH](https://www.openssh.com/releasenotes.html) at ulitin ang proseso gamit ang mas bagong release, o bumalik sa dating bersyon.
- Panatilihing **bukas ang pangalawang SSH session** sa buong proseso. Mas mainam kung mayroon kang access sa console (hypervisor, IPMI, cloud console).
- Subukan muna ito sa isang test machine.
- Kailangan mo ng root, systemd, humigit-kumulang 1 GiB na libreng espasyo sa `/var/tmp` at access sa internet para sa `apt` at pag-download ng OpenSSH.

## Ano ang ginagawa ng script

1. Ini-install nito ang mga dependency sa pagbuo gamit ang `apt`.
2. Dina-download nito ang `openssh-10.6p2.tar.gz`. Sinusuri nito ang itinakdang SHA-256 at ang OpenPGP signature mula sa release key ng OpenSSH na `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Binubuo nito ang software sa `/opt/openssh-10.6p2`. Hindi binabago ang iyong configuration sa `/etc/ssh` (mga host key, `sshd_config`) at ang configuration ng PAM.
4. Sinusuri nito ang kasalukuyang `sshd_config` gamit ang bagong bersyon. Pagkatapos, nagpapatakbo ito ng test instance sa `127.0.0.1:2226` at walang inililipat hangga't hindi pumapasa ang parehong pagsusuri.
5. Idinaragdag nito ang systemd drop-in na `/etc/systemd/system/ssh.service.d/chj-openssh.conf` at dini-disable ang `ssh.socket`, dahil walang socket activation ang upstream sshd. Pagkatapos, nire-restart nito ang `ssh.service`.
6. Sinusuri nito kung ang tumatakbong proseso ay `/opt/openssh-10.6p2/sbin/sshd` at kung ang banner ay `SSH-2.0-OpenSSH_10.6`. Kung mabigo ang alinman sa mga pagsusuri, kusa itong bumabalik sa dating bersyon.

## Pag-install

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Pagkatapos, magbukas ng **bagong** koneksyong SSH. Isara lamang ang lumang session kapag gumagana na ang bagong pag-login.

## Pagsuri at pagbabalik sa dating bersyon

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Inaalis ng pagbabalik sa dating bersyon ang drop-in, muling ine-enable ang `ssh.socket` kung naka-enable ito dati, at nire-restart ang `sshd` ng distribusyon. Mananatili sa disk ang build sa `/opt/openssh-10.6p2` hanggang sa burahin mo ito. Pagkatapos bumalik sa dating bersyon, hindi na gagana sa server na iyon ang mga key na `ssh-mldsa44-ed25519`.

## Pagkatapos, sa CH-J Tools

Kumonekta muli sa server. Sa **Users**, maaari ka nang magdagdag ng key na `ssh-mldsa44-ed25519` mula sa Keychain. Kung mas lumang bersyon pa rin ang iniulat ng server, ipapakita ng CH-J Tools ang mensaheng "OpenSSH 10.6 or newer is required" at hindi nito idaragdag ang key.